Společnost Mozilla o rozšíření ohledně vyplácení finančních odměn za odhalování bezpečnostních problémů v infrastrukturních prvcích spojených s vývojem Firefoxu. Výše odměn za odhalení zranitelností na webových stránkách a v službách Mozilla byla zdvojnásobena, a odměna za odhalení zranitelností, které mohou vést k vykonání kódu na , byla zvýšena na 15 tisíc dolarů.
Za zjištění metody obcházení autentizace a vkládání SQL kódu lze získat odměnu 6 tisíc dolarů, a za mezistránkový skript a CSRF — 5 tisíc dolarů. Mezi klíčové stránky patří firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
a další desítky webů souvisejících s doplňky, aktualizacemi, stahováním, synchronizací a statistikou.
Pro výše odměny je přibližně poloviční. Mezi základní stránky patří observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org a některé interní služby pro vývojáře.
Ve srovnání s dříve platnými podmínkami byly do seznamu klíčových stránek a služeb přidány:
- (služba digitálních podpisů),
- (služba automatického umisťování kódu z
Phabricator do repozitářů), - (nástroj pro správu kódu používaný k recenzování změn),
- (framework pro vykonávání úloh, podporující systém kontinuální integrace a procesy vydávání).
Mezi nové základní stránky patří:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- SA-Frontend (vrstva nad platebním systémem Stripe),
- (doplňky s pro ochranu provozu),
- (systém zpracování žádostí o vydání),
- (systém rozpoznávání řeči, který je základem rozhraní Speech Recognition API).
Dále je možné zamýšlet aktivaci v plánovaném vydání Firefoxu 72 dne 7. ledna s dotěrnými žádostmi o udělení dodatkových oprávnění webu. Mnoho webů zneužívá funkci prohlížeče, která umožňuje žádosti o oprávnění, zejména prostřednictvím opakovaných výzev k povolení push notifikací. Analýza telemetrie ukázala, že 97 % takových žádostí je odmítáno, přičemž v 19 % případů uživatel ihned zavře stránku, aniž by klikl na tlačítko souhlas nebo odmítnutí. V prohlížeči Firefox 72 budou tyto žádosti blokovány, pokud nedojde k interakci uživatele se stránkou (kliknutí myší nebo stisknutí kláves).
Mezi nadcházejícími změnami ve Firefoxu 72 se také vyzdvihuje barva pozadí aktuální stránky pro lištu scrollování a vázání veřejných klíčů (PKP, Public Key Pinning), což umožňuje prostřednictvím HTTP hlavičky Public-Key-Pins jasně stanovit, které certifikáty daných certifikačních autorit je povoleno používat pro daný web. Jako důvod je uvedena nízká poptávka po této funkci, riziko problémů s kompatibilitou (podpora PKP v Chromu) a možnost zablokování vlastního webu kvůli vazbě špatných klíčů nebo ztrátě klíčů (například náhodné smazání nebo kompromitace v důsledku hacknutí).
Zdroj: opennet.ru
